Добавил:

Upload Опубликованный материал нарушает ваши авторские права? Сообщите нам.

Вуз:

Московский государственный технологический университет "Станкин"

Предмет:

Защита информации

Файл:

174_Otvety.doc

Скачиваний:

Добавлен:

24.12.2018

Размер:

633.86 Кб

Скачать

☆

1 / 91 2 3 4 5 6 7 8 9 > Следующая >>>

Экзаменационные вопросы по дисциплине «Методы и средства защиты компьютерной информации»

Современное состояние информационных технологий. Проблема защиты информации и подходы к ее возможному решению.

Особенности современных информационных технологий

увеличение количества автоматизированных процедур в системах обработки данных и важности принимаемых на их основе решений;
территориальная распределенность компонентов компьютерных систем и передача информации между этими компонентами;

усложнение используемых программных и накопление и долговременное хранение больших массивов данных на электронных носителях, зачастую не имеющих твердых копий;
интеграция в единых базах данных информации различного назначения и различных режимов доступа;
непосредственный доступ к ресурсам компьютерных систем большого количества пользователей различных категорий и с различными полномочиями в системе;
рост стоимости ресурсов компьютерных систем.

Защита (проблема защиты) информации – это надежное обеспечения сохранности информации и установленного статуса ее использования.

Подходы к защите компьютерной информации

Фрагментарный подход - применяются отдельные организационные мероприятия, технические и программные средства (антивирусные программы, не всегда своевременно обновляемые, и средства разграничения прав пользователей компьютерной системы на основе паролей, часто простых и редко обновляемых).

Системный – создается целостная система со своим управляющим блоком (ядром защиты), которая должна обеспечивать надежную защиту компьютерной системы во все время ее функционирования.

Комплексный – защита компьютерной информации рассматривается не как одноразовая акция, а как непрерывный процесс, целенаправленно проводимый во все время создания и функционирования компьютерной системы с комплексным применением всех имеющихся методов, средств и мероприятий.

Основные понятия информационной безопасности.

Информация

Под информацией, применительно к задаче ее защиты, понимают сведения (сообщения, данные) независимо от формы их представления. В зависимости от формы представления информация может быть разделена на речевую, телекоммуникационную и документированную.

Формы представления информации

К документированной информации (или просто к документам) относят информацию, представленную на материальных носителях вместе с идентифицирующими ее реквизитами. Речевая информация возникает в ходе ведения в помещениях разговоров, работы систем связи, звукоусиления и звуковоспроизведения. Телекоммуникационная информация циркулирует в технических средствах обработки и хранения информации, а также в каналах связи при ее передаче.

Информационные процессы, технологии и системы

К информационным процессам относят процессы сбора, обработки, накопления, хранения, поиска и распространения информации. Под информационной системой понимают упорядоченную совокупность информационных ресурсов (документов и массивов документов) и информационных технологий (методов и программно-аппаратных средств),

Компьютерная система

Под компьютерной системой понимают организационно-техническую систему, включающую в себя информационные ресурсы, программно-аппаратные средства, а также обслуживающий персонал и пользователей.

Виды информации

Информацию разделяют на общедоступную и ограниченного доступа. К информации ограниченного доступа относятся государственная тайна и конфиденциальная информация. В соответствии с российским законодательством к конфиденциальной относится следующая информация:

служебная тайна (например, тайна суда и следствия);
профессиональная тайна (врачебная, адвокатская и т.п.);
коммерческая тайна;
персональные данные (сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность).

Обладатель информации

Обладателем информации может быть физическое или юридическое лицо, Российская Федерация, ее субъект, муниципальное образование, которое: самостоятельно создало информацию или в соответствии с законодательством или договором получило право управлять доступом к информации.

Защищаемая информация

К защищаемой относится информация, имеющая обладателя и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми обладателем информации. Зашитой информации называют деятельность по предотвращению

утечки защищаемой информации,
несанкционированных и
непреднамеренных воздействий на защищаемую информацию.

Характеристики защищенности информации

Конфиденциальность (известность содержания информации только имеющим соответствующие полномочия субъектам).

Целостность (неизменность информации в условиях ее случайного и (или) преднамеренного искажения или разрушения

Доступность (способность обеспечения беспрепятственного доступа субъектов к интересующей их информации).

Утечка (копирование) информации

Под утечкой понимают неконтролируемое распространение защищаемой информации путем ее разглашения, несанкционированного доступа к ней и получениями разведками. Разглашение – это доведение защищаемой информации до неконтролируемого количества получателей информации (например, публикация информации на открытом сайте в сети Интернет или в открытой печати).

Несанкционированный доступ

Получение защищаемой информации заинтересованным субъектом с нарушением правил доступа к ней.

Воздействие на информацию (модификация, подмена, уничтожение)

Несанкционированное воздействие на защищаемую информацию – воздействие с нарушением правил ее изменения (например, намеренное внедрение в защищаемые информационные ресурсы вредоносного программного кода или умышленная подмена электронного документа).

Под непреднамеренным воздействием на защищаемую информацию понимают воздействие на нее из-за ошибок пользователя, сбоя технических или программных средств, природных явлений, иных нецеленаправленных воздействий (например, уничтожение документов в результате отказа накопителя на жестком магнитном диске компьютера).

Цель и объекты защиты

Целью защиты информации (ее желаемым результатом) является предотвращение ущерба обладателю или пользователю информации. Под эффективностью защиты информации понимают степень соответствия результатов защиты информации поставленной цели. Объектом защиты может быть информация, ее носитель или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью.

Информационная безопасность и политика безопасности

Совокупность информационных ресурсов и системы формирования, распространения и использования информации называют информационной средой общества. Под информационной безопасностью понимают состояние защищенности информационной среды, обеспечивающее ее формирование и развитие. Политика безопасности – это набор документированных норм, правил и практических приемов, регулирующих управление, защиту и распределение информации ограниченного доступа.

Угрозы безопасности и каналы утечки информации.

Угрозы безопасности

Под угрозой безопасности информации в компьютерной системе (КС) понимают событие или действие, которое может вызвать изменение функционирования КС, связанное с нарушением защищенности обрабатываемой в ней информации. Уязвимость информации – это возможность возникновения на каком-либо этапе жизненного цикла КС такого ее состояния, при котором создаются условия для реализации угроз безопасности информации.

Атака на компьютерную систему

Атакой на КС называют действие, предпринимаемое нарушителем, которое заключается в поиске и использовании той или иной уязвимости. Иначе говоря, атака на КС является попыткой реализации угрозы безопасности информации в ней.

Цели угроз безопасности информации

Нарушение конфиденциальности (перехват, утечка или копирование информации).
Нарушение целостности (разрушение, модификация или подделка информации).
Нарушение доступности (блокирование информации или отказ в обслуживании).

Угроза раскрытия параметров

Опосредованной угрозой безопасности информации в КС является угроза раскрытия параметров подсистемы защиты информации, входящей в состав КС. Реализация этой угрозы дает возможность реализации перечисленных ранее непосредственных угроз безопасности информации.

Угрозы информационной безопасности могут быть разделены на угрозы, не зависящие от деятельности человека (естественные угрозы физических воздействий на информацию стихийных природных явлений), и угрозы, вызванные человеческой деятельностью (искусственные угрозы, которые являются гораздо более опасными).

Искусственные угрозы

Искусственные угрозы, исходя из их мотивов, разделяются на непреднамеренные (случайные) угрозы и угрозы преднамеренные (умышленные). К непреднамеренным угрозам относятся:

ошибки в проектировании КС;
ошибки в разработке программных средств КС;
случайные сбои в работе аппаратных средств КС, линий связи, энергоснабжения;
ошибки пользователей КС;
воздействие на аппаратные средства КС физических полей других электронных устройств (при несоблюдении условий их электромагнитной совместимости) и др.

Умышленные угрозы

К умышленным угрозам относятся:

несанкционированные действия обслуживающего персонала КС (например, ослабление политики безопасности администратором, отвечающим за безопасность КС);
несанкционированный доступ к ресурсам КС со стороны пользователей КС и посторонних лиц, ущерб от которого определяется полученными нарушителем полномочиями

Построение модели угроз

Поскольку сложно заранее определить возможную совокупность угроз безопасности информации и результатов их реализации, модель потенциальных угроз безопасности информации в КС должна создаваться совместно собственником (владельцем) КС и специалистами по защите информации на этапе проектирования КС. Созданная модель должна затем уточняться в ходе эксплуатации КС.

Комплексный подход к защите информации. Организационно-правовое и инженерно-техническое обеспечение информационной безопасности.

Роль правового обеспечения

Основой проведения организационных мероприятий является использование и подготовка законодательных и нормативных документов в области информационной безопасности, которые на правовом уровне должны регулировать доступ к информации со стороны потребителей.

Уровни правового обеспечения информационной безопасности.

Первый уровень образуют международные договора, к которым присоединилась Российская Федерация, и федеральные законы России:

международные (всемирные) конвенции об охране промышленной собственности, об охране интеллектуальной собственности, об авторском праве;
Конституция РФ (статья 23 определяет право граждан на тайну переписки, телефонных, телеграфных и иных сообщений);
Гражданский кодекс РФ (в статье 139 устанавливается право на возмещение убытков от утечки с помощью незаконных методов информации, относящейся к служебной и коммерческой тайне);
Уголовный кодекс РФ (статья 272 устанавливает ответственность за неправомерный доступ к компьютерной информации, статья 273 – за создание, использование и распространение вредоносных программ для ЭВМ, статья 274 – за нарушение правил эксплуатации ЭВМ, систем и сетей);
федеральный закон «Об информации, информационных технологиях и о защите информации»;
федеральные законы «О государственной тайне», «О коммерческой тайне», «О персональных данных»;
федеральные законы «О лицензировании отдельных видов деятельности», «О связи», «Об электронной цифровой подписи»;
четвертая часть Гражданского кодекса РФ (охрана интеллектуальной собственности).

Второй уровень правового регулирования защиты информации составляют подзаконные акты, к которым относятся указы Президента и постановления Правительства РФ, а также определения Конституционного суда РФ, письма Высшего арбитражного суда РФ и постановления пленумов Верховного суда РФ.

Третий уровень правового обеспечения информационной безопасности составляют государственные стандарты (ГОСТы) в области защиты информации, руководящие документы, нормы, методики и классификаторы, разработанные соответствующими государственными органами.

Четвертый уровень правового обеспечения информационной безопасности образуют локальные нормативные акты, положения, инструкции, методические рекомендации и другие документы по комплексной защите информации в КС конкретной организации.

Инженерно-технические средства защиты информации

Физические объекты, механические, электрические и электронные устройства, элементы конструкции зданий, средства пожаротушения и другие средства.

Назначение инженерно-технических средств защиты информации

защита территории и помещений КС от проникновения нарушителей;
защита аппаратных средств КС и носителей информации от хищения;
предотвращение возможности удаленного (из-за пределов охраняемой территории) видеонаблюдения (подслушивания) за работой персонала и функционированием технических средств КС;
предотвращение возможности перехвата ПЭМИН, вызванных работающими техническими средствами КС и линиями передачи данных;
организация доступа в помещения КС сотрудников организации;
контроль над режимом работы персонала КС;
контроль над перемещением сотрудников КС в различных производственных зонах;
противопожарная защита помещений КС;
минимизация материального ущерба от потерь информации, возникших в результате стихийных бедствий и техногенных аварий.

Технические средства охраны

Образуют первый рубеж защиты КС и включают в себя:

средства контроля и управления доступом (СКУД);
средства охранной сигнализации;
Средства видеонаблюдения (охранного телевидения, CCTV).
Основы криптографической защиты информационных ресурсов
К открытому тексту применяется функция шифрования, в результате чего получается шифротекст (или криптограмма).

Криптографическая защита информации.

Применение криптографических методов защиты информации

Обеспечение конфиденциальности информации, передаваемой по открытым линиям связи или хранящейся на открытых носителях информации.
Аутентификация, обеспечение целостности и неоспоримости передаваемой информации.
Защита информационных ресурсов от несанкционированного использовани

Шифрование и расшифрование

Для восстановления открытого текста из шифротекста к последнему применяется функция расшифрования.

Функции шифрования (E) и расшифрования (D) используют один или более дополнительных параметров, называемых ключом:

E_k

P (открытый текст)--> C (шифротекст)

D_к′

C (шифротекст) --> P (открытый текст)

C=E_k (P); P=D_k_′ (C)

Виды криптографических систем

Если ключ шифрования K совпадает с ключом расшифрования K ′ , то такую криптосистему называют симметричной; если для шифрования и расшифрования используются разные ключи, то такую систему называют асимметричной .

В симметричной криптосистеме ключ должен быть секретным; в асимметричной системе один из ключей может быть открытым .

Ключ симметричного шифрования обычно называют сеансовым ( session key).

Пару ключей асимметричного шифрования образуют открытый ключ (public key) и личный (или закрытый) ключ ( secret key, private key).

Криптография и криптоанализ

Науку о защите информации с помощью шифрования называют криптографией.

Процесс получения открытого текста из шифротекста без знания ключа расшифрования называют обычно дешифрованием (или «»взломом» шифра), а науку о методах дешифрования – криптоанализом.

Совместным изучением методов криптографии и криптоанализа занимается криптология.

Криптостойкость

Характеристика надежности шифротекста от вскрытия называется криптостойкостью. Криптостойкость шифра может оцениваться двумя величинами:

минимальным объемом шифротекста, статистическим анализом которого можно его вскрыть и получить открытый текст без знания ключа;

количеством MIPS-часов или MIPS-лет – времени работы условного криптаналитического компьютера производительностью один миллион операций в секунду, необходимой для вскрытия шифротекста.

Хеширование информации

Хешированием информации называют процесс ее преобразования в хеш-значение фиксированной длины (дайджест, образ, хеш-код или просто хеш).

Понятие функции хеширования

Односторонняя функция

Для любого документа M длина его хеш-значения H(M) постоянна.

Минимальная вероятность коллизий

Сложность нахождения другого документа с тем же хеш-значением.

Применение функций хеширования

Хранение образов паролей пользователей компьютерных систем в регистрационных базах данных.

Генерация одноразовых паролей и откликов на случайные запросы службы аутентификации.

Обеспечение подлинности и целостности электронных документов.

Программно-аппаратная защита информации.

Аппаратные средства защиты информации

Электронные и электронно-механические устройства, включаемые в состав технических средств КС и выполняющие (самостоятельно или в едином комплексе с программными средствами) некоторые функции обеспечения информационной безопасности. Критерием отнесения устройства к аппаратным, а не инженерно-техническим средствам защиты является именно обязательное включение в состав технических средств КС.

Основные аппаратные средства защиты информации

устройства для ввода идентифицирующей пользователя информации (магнитных и пластиковых карт, отпечатков пальцев и т.п.);
устройства для хранения идентифицирующей пользователя информации (карты, генераторы одноразовых паролей, элементы Touch Memory и т.п.);
устройства для шифрования информации;
устройства для воспрепятствования несанкционированному включению рабочих станций и серверов (электронные замки и блокираторы).

Вспомогательные аппаратные средства защиты информации

устройства уничтожения информации на магнитных носителях;
устройства сигнализации о попытках несанкционированных действий пользователей КС и др.

Программные средства защиты информации

Специальные программы, включаемые в состав программного обеспечения КС исключительно для выполнения защитных функций. К основным программным средствам защиты информации относятся:

программы идентификации и аутентификации пользователей КС;
программы разграничения доступа пользователей к ресурсам КС;
программы шифрования информации;
программы защиты информационных ресурсов (системного и прикладного программного обеспечения, баз данных, компьютерных средств обучения и т.п.) от несанкционированного изменения, использования и копирования.

Идентификация и аутентификация

Под идентификацией, применительно к обеспечению информационной безопасности КС, понимают однозначное распознавание уникального имени субъекта КС (проверка его регистрации в системе).

Аутентификация при этом означает подтверждение того, что предъявленное имя соответствует данному субъекту (подтверждение подлинности субъекта).

Вспомогательные программные средства защиты информации

программы уничтожения остаточной информации (в блоках оперативной памяти, временных файлах и т.п.);

программы аудита (ведения регистрационных журналов) событий, связанных с безопасностью КС, для обеспечения возможности восстановить и доказать факт происшествия этих событий;
программы имитации работы с нарушителем (отвлечения его на получение якобы конфиденциальной информации);
программы тестового контроля защищенности КС и др.

Преимущества и недостатки программных средств защиты информации

Простота тиражирования.
Гибкость.
Простота использования.
Неограниченные возможности развития.
Расходование ресурсов компьютерных систем.
Возможность обхода (из-за «пристыкованности»).
Возможность злоумышленного изменения.

Способы несанкционированного доступа к информации и защиты от него

Основные способы несанкционированного доступа к информации в КС

непосредственное обращение к объекту с конфиденциальной информацией (например, с помощью управляемой пользователем программы, читающей данные из файла или записывающей их в него);
создание программных и технических средств, выполняющих обращение к объекту в обход средств защиты (например, с использованием случайно или намеренно оставленных разработчиком этих средств так называемых «люков»);
модификация средств защиты для осуществления несанкционированного доступа (например, внедрение программных закладок);
внедрение в аппаратные средства КС программных или аппаратных механизмов, нарушающих структуру и функции этих средств для осуществления несанкционированного доступа (например, путем загрузки на компьютере иной, незащищенной операционной системы).

Вспомогательные способы НСД к информации в КС

«ручной» или программный подбор паролей путем их полного перебора или при помощи специального словаря («взлом» КС);
подключение к КС в момент кратковременного прекращения работы легального пользователя, работающего в интерактивном режиме и не заблокировавшего свой терминал;
подключение к линии связи и перехват доступа к КС после отправки пакета завершения сеанса легального пользователя, работающего в удаленном режиме;
выдача себя за легального пользователя с применением похищенной у него или полученной обманным путем (с помощью так называемой «социальной инженерии») идентифицирующей информации («маскарад»);
создание условий для связи по компьютерной сети легального пользователя с терминалом нарушителя, выдающего себя за легального объекта КС (например, один из ее серверов), «мистификация»;
создание условий для возникновения в работе КС сбоев, которые могут повлечь за собой отключение средств защиты информации или нарушение правил политики безопасности;
тщательное изучение подсистемы защиты КС и используемой в ней политики безопасности, выявление уязвимостей в программных средствах защиты информации в КС, внедрение программных закладок, разрешающих доступ нарушителю.

Основные способы защиты от НСД к компьютерной информации

Аутентификация субъектов КС (пользователей и процессов);

авторизация субъектов (наделение их индивидуальным набором прав и привилегий в КС, включая права доступа к объектам с конфиденциальной информацией);

аудит всех потенциально опасных действий субъектов в КС (их учет и регистрация в специальном журнале).

Каналы утечки информации

Каналы утечки информации (способы несанкционированного ее получения) могут быть разделены на:

косвенные или общедоступные (не связанные с физическим доступом к элементам КС);
непосредственные или узкодоступные (связанные с физическим доступом к элементам КС).

Косвенные каналы

использование подслушивающих (радиозакладных) устройств;
дистанционное видеонаблюдение;
перехват побочных электромагнитных излучений и наводок (ПЭМИН).

ПЭМИН

Побочные электромагнитные излучения создаются техническими средствами КС при обработке информации, существуют в диапазоне от единиц герц до 1,5 гигагерц и могут распространять обрабатываемую информацию. Наиболее опасными с точки зрения ПЭМИ являются дисплеи, кабельные линии связи, накопители на магнитных дисках, матричные принтеры. Для перехвата ПЭМИ используется специальная портативная аппаратура.

Побочные электромагнитные наводки представляют собой сигналы в цепях электропитания и заземления аппаратных средств КС и в находящихся в зоне воздействия ПЭМИ работающих аппаратных средств КС кабелях вспомогательных устройств (звукоусиления, связи, времени, сигнализации), металлических конструкциях зданий, сантехническом оборудовании. Эти наведенные сигналы могут выходить за пределы зоны безопасности КС.

Непосредственные каналы

Непосредственные каналы утечки, не требующие изменения элементов КС (без оставления следов)

хищение носителей информации;
сбор производственных отходов с информацией;
намеренное копирование файлов других пользователей КС;
чтение остаточной информации после выполнения заданий других пользователей (областей оперативной памяти, удаленных файлов, ошибочно сохраненных временных файлов);
копирование носителей информации;
намеренное использование для несанкционированного доступа к информации незаблокированных терминалов других пользователей КС;
маскировка под других пользователей путем похищения их идентифицирующей информации (паролей, карт и т.п.);
обход средств разграничения доступа к информационным ресурсам вследствие недостатков в их программном обеспечении и др.
незаконное подключение специальной регистрирующей аппаратуры к устройствам или линиям связи (пассивное для фиксации и сохранения передаваемых данных или активное для их уничтожения, искажения или подмены);
злоумышленное изменение программ для выполнения ими несанкционированного копирования информации при ее обработке;
злоумышленный вывод из строя средств защиты информации.

Пассивное и активное подключение

Пассивное подключение нарушителя к устройствам или линиям связи легко предотвратить (например, с помощью шифрования передаваемой информации), но невозможно обнаружить.

Активное подключение, напротив, легко обнаружить (например, с помощью механизма электронной цифровой подписи), но невозможно предотвратить.

Необходимость комплексного подхода к защите информации

Поскольку наиболее опасные угрозы информационной безопасности вызваны преднамеренными действиями нарушителя, которые в общем случае являются неформальными, проблема защиты информации относится к формально не определенным проблемам.

Надежная защита информации в КС не может быть обеспечено только формальными методами (например, только программными и аппаратными средствами).

Защита информации в КС не может быть абсолютной.

Обеспечение информационной безопасности КС является непрерывным процессом, целенаправленно проводимым на всех этапах ее жизненного цикла с комплексным применением всех имеющихся методов и средств.

Основные группы методов и средств защиты информации

методы и средства организационно-правовой защиты информации;
методы и средства инженерно-технической защиты информации;
криптографические методы и средства защиты информации;
программно-аппаратные методы и средства защиты информации.

Аутентификация пользователей на основе паролей.

Аутентификация пользователей на основе паролей

При выборе паролей пользователи КС должны руководствоваться двумя, по сути взаимоисключающими правилами – пароли должны трудно подбираться и легко запоминаться

Оценка сложности подбора паролей

Сложность подбора пароля определяется, в первую очередь, мощностью множества символов, используемого при выборе пароля (N), и минимально возможной длиной пароля (k). В этом случае количество различных паролей может быть оценено снизу как C_p=N^k. Например, если множество символов пароля образуют строчные латинские буквы, а минимальная длина пароля равна 3, то C_p=26³= 17 576 (что совсем немного для программного подбора). Если же множество символов пароля состоит из строчных и прописных латинских букв, а также цифр, и минимальная длина пароля равна 6, то C_p=62⁶= 56 800 235 584.

Другие требования к паролям

максимальный срок действия пароля (любой секрет не может сохраняться в тайне вечно);
несовпадение пароля с идентификатором пользователя, под которым он зарегистрирован в КС;
неповторяемость паролей одного пользователя.

Неповторяемость паролей

Требование неповторяемости паролей может быть реализовано сочетанием двух мер. Во-первых, можно установить минимальный срок действия пароля (в противном случае пользователь, вынужденный после истечения срока действия своего пароля поменять его, сможет тут же сменить пароль на старый). Во-вторых, можно вести список уже использовавшихся данным пользователем паролей (максимальная длина списка при этом может устанавливаться администратором).

Назначение и смена пароля

Наиболее целесообразным является выбор пароля пользователем на основе установленных администратором правил с возможностью администратора задать новый пароль пользователя в случае, если тот забыл свой пароль (поскольку администратору неизвестен старый пароль пользователя, он не может злоупотребить этой возможностью).

Противодействие попыткам подбора паролей

ограничение числа попыток входа в систему (ведение специального счетчика с его автоматическим обнулением через заданный промежуток времени);

скрытие имени последнего работавшего пользователя (знание имени может помочь нарушителю подобрать или угадать его пароль);

учет всех попыток (успешных и неудачных) входа в систему в журнале аудита

Реакция на попытки подбора паролей

блокировка учетной записи, под которой осуществляется попытка входа, при превышении максимально возможного количества попыток (на заданное время или до «ручного» снятия блокировки администратором);

нарастающее увеличение временной задержки перед предоставлением пользователю следующей попытки входа.

Постоянная блокировка учетной записи при обнаружении попытки подбора пароля (до снятия блокировки администратором) менее целесообразно, поскольку позволит нарушителю намеренно заблокировать работу в КС легального пользователя (реализовать угрозу нарушения доступности информации).

Правила ввода пароля

Символы вводимого пароля не отображаются на экране.

Для подтверждения правильности ввода пароля при его назначении или смене (с учетом первого правила) этот ввод повторяется дважды.

Хранение паролей в регистрационной базе данных

Очевидно, что в базе данных учетных записей пользователей КС пароли не могут храниться в открытом виде (иначе к ним может получить доступ как минимум администратор системы).

Наиболее безопасным является хранение паролей в хешированном виде. Хеширование является необратимым преобразованием и знание хеш-значения пароля не даст нарушителю возможности его получения в открытом виде (он сможет только пытаться подобрать пароль при известной функции хеширования).

Недостатки парольной аутентификации

Сложно обеспечить реальную уникальность и сложность каждого вновь выбираемого пользователем пароля (например, можно выбирать пароли «А1», «А2» и т.д., где А – первый пароль пользователя, удовлетворяющий требованиям сложности).

Возможность перехвата пароля в открытом виде или его подбора по хеш-значению.

Возможность поучения или смены пароля в результате обмана.

Необходимость ведения регистрационной базы данных

Присвоение каждому пользователю КС уникального имени, под которым он регистрируется в базе данных учетных записей, не только позволяет предоставить разным пользователям КС различный уровень прав в ней, но и дает возможность полного учета всех действий пользователя в системе в журнале аудита.

Протокол идентификации пользователя при его входе в КС

Под протоколом в общем случае понимают конечную последовательность однозначно и точно определенных действий, выполняемых двумя или более сторонами для достижения желаемого результата за конечное время.

Система S: запрос имени, под которым пользователь U зарегистрирован в базе данных учетных записей КС SADB (идентификатора пользователя или так называемого «логина»).

U: ввод идентификатора (ID).

S: проверка наличия ID в SADB. Если пользователь с таким именем зарегистрирован, то запрос его аутентифицирующей информации. Иначе возврат к п. 1.

U: ввод аутентифицирующей информации (P).

S: проверка совпадения P с аутентифицирующей информацией для пользователя ID в SADB. Если совпадение есть, то авторизация пользователя в КС. Иначе возврат к п. 3.

Организация и хранение базы данных учетных записей пользователей.

Хранение паролей в регистрационной базе данных

Недостатки парольной аутентификации

Возможность перехвата пароля в открытом виде или его подбора по хеш-значению.

Возможность поучения или смены пароля в результате обмана.

Необходимость ведения регистрационной базы данных

Типичная структура учетной записи i в регистрационной базе данных

имя (идентификатор) пользователя ID_i ;

полное имя пользователя и его должность в организации D_i ;

случайное значение, генерируемое при регистрации пользователя в КС, S_i , или относительный номер учетной записи RID_i ;

аутентифицирующая пользователя информация P_i (например, хеш-значение его пароля) ;

информация о правах пользователя в КС G_i .

Причины использования S_i ( RID_i )

Применяются при вычислении хеш-значения пароля пользователя для:

усложнения подбора пароля по его хеш-значению (исключения возможности использования нарушителем заранее составленного словаря хеш-значений популярных или вероятных паролей)

предотвращения возможности одному пользователю получить полномочия другого при случайном совпадении их паролей, т.к. хеш-значения одинаковых паролей будут разными.

Учетные записи групп

Для удобства назначения полномочий пользователям КС они могут объединяться в группы в соответствии с должностным положением пользователей в организации и (или) их принадлежностью одному из ее структурных подразделений.

Информация о группах пользователей также может размещаться в регистрационной базе данных КС.

Предопределенные учетные записи

Создаются автоматически при установке системы (их имена фиксированы, но в некоторых системах могу быть изменены).

Гримерами являются учетные записи администратора (суперпользователя), группы администраторов, гостя (анонимного пользователя), а также учетные записи псевдопользователей.

Псевдопользователи

Учетные записи могут создаваться и для компонентов самой системы (ее ядра или отдельных служб)

Такие учетные записи, которым не соответствуют пользователи-физические лица или их группы, принято называть псевдопользователями.

Доступ к регистрационной базе данных

Доступ к базе данных учетных записей КС как по чтению, так и по записи должен быть разрешен только привилегированному пользователю (администратору).

Если разрешен доступ по записи (без права добавления данных), то тогда возможна такая ситуация. Пользователь i после входа в КС изменяет аутентифицирующую информацию в учетной записи пользователя j на аутентифицирующую информацию из своей учетной записи, сохраняя при этом «старую» информацию из учетной записи j, после чего завершает сеанс работы с КС и возобновляет его уже как пользователь j. Применив полномочия другого пользователя, нарушитель восстанавливает аутентифицирующую информацию в учетной записи j, после чего завершает сеанс работы с КС.

Если к регистрационной базе данных КС разрешен доступ по чтению, то пользователь-нарушитель сможет скопировать ее на собственный носитель или просто в другой файл и осуществить попытку подбора аутентифицирующей информации (например, пароля) привилегированного пользователя для осуществления несанкционированного доступа с помощью «маскарада».

Протокол идентификации пользователя при его входе в КС

U: ввод идентификатора (ID).

U: ввод аутентифицирующей информации (P).

Хранение паролей в ОС Unix

Учетные записи пользователей операционных систем клона Unix

Хранятся в текстовом файле / etc / passwd в виде отдельных строк и имеют следующий формат:

логическое имя пользователя ID : хеш-значение его пароля H ( P ) : системный идентификатор пользователя UID : системный идентификатор первичной группы пользователя GID : полное имя и должность пользователя D : домашний (рабочий) каталог пользователя HD : командный процессор (оболочка), применяемый пользователем, SH

Привилегии пользователей в ОС Unix

Определяются полями учетной записи UID, GID, HD и SH.

При работе в системе пользователь полностью идентифицируется своим системным идентификатором UID, поэтому два пользователя с одинаковым идентификатором, будут обладать совершенно одинаковыми правами в системе.

В учетных записях псевдопользователей в поле хеш-значения пароля помещается *, что не позволяет применять эти логические имена для входа в систему.

Поскольку привилегии пользователя в КС определяются не его логическим именем, а значением UID , вход в систему пользователя с именем root и с системным идентификатором, отличным от нуля, не обеспечит ему привилегий суперпользователя.

С другой стороны, вход в систему пользователя с произвольным логическим именем и с UID , равным нулю, даст ему все полномочия суперпользователя.

Алгоритм хеширования паролей

На основе времени суток генерируется случайное значение S ( 12 битов), которое затем преобразуется в строку из двух символов и запоминается в файле учетных записей как первые два символа поля с хеш-значением пароля.

Магическое значение M длиной 64 бита, состоящее из нулей или пробелов, зашифровывается по алгоритму DES , причем в качестве ключа шифрования длиной 56 бит используется пароль пользователя P , а S применяется для модификации алгоритма шифрования.

Полученное значение длиной 64 бита вновь зашифровывается на том же ключе (общее число повторений равно 25);

Полученное окончательное значение преобразуется в 11 символов (каждым 6 битам соответствует один символ из множества {‘.’, ‘/’, ‘0’-‘9’, ‘A’-‘Z’, ‘a’-‘z’});

Полученная строка символов записывается в файл учетных записей после случайного значения.

В современных версиях Unix на шагах 2 и 3 вместо функции шифрования DES используется функция хеширования MD5.

Минимальная длина пароля

Поскольку пароль используется в алгоритме хеширования в качестве ключа DES -шифрования длиной 56 бит, его минимальную длину целесообразно выбирать равной восьми символам (56 бит в кодировке ASCII ).

Затенение паролей

По умолчанию к файлу / etc / passwd разрешен доступ по чтению для всех пользователей КС. Это необходимо, поскольку сведения об идентификаторах пользователя и группы, домашнем каталоге и логическом имени пользователя из этого файла должны быть доступны различным программам.

Для защиты хеш-значений паролей от чтения непривилегированными пользователями выполняется процедура «затенения» ( shadow ) паролей.

Хеш-значения паролей перемещаются из файла / etc / passwd в файл / etc / shadow (/ etc / security / passwd . adjunct или / etc / master . passwd в других операционных системах).

В исходном файле учетных записей при использовании «затенения» паролей в поле хеш-значения пароля помещаются специальные символы (например, x) или случайная строка символов (для усложнения задачи подбора паролей). Доступ к файлу теневых паролей имеет только привилегированный пользователь.

Учетные записи групп

Информация о группах пользователей в операционных системах семейства Unix помещается в файл / etc / group. Каждая запись в этом файле имеет следующий формат:

имя группы : пароль группы : системный идентификатор группы GID : список разделенных запятыми логических имен пользователей-членов группы

При использовании паролей групп следует применять «затенение» паролей групп, аналогичное созданию теневых паролей пользователей (в этом случае хеш-значения паролей групп перемещаются в файл / etc / gshadow или аналогичный).

Хранение паролей в ОС Windows

База данных учетных записей содержится в разделе реестра HKEY _ LOCAL _ MACHINE \ SAM (в файле Windows \ System 32 \ Config \ SAM ). К базе данных SAM не может быть получен доступ для чтения или изменения с помощью штатных средств операционной системы даже администратором ( она открывается ядром операционной системы во время ее загрузки в монопольном режиме). Для ее редактирования предназначены специальные функции из набора Windows API и специальные системные приложения.

Хранение паролей в ОС Windows.

Пароль пользователя в базе данных SAM хранится в виде двух хеш-значений, каждое из которых имеет длину 128 бит. Первое из этих хеш-значений формируется по алгоритму Windows NT:

Строка символов пароля P усекается до 14 знаков (при необходимости) и преобразуется в кодировку Unicode, в которой каждый символ представляется двумя байтами.

Вычисляется хеш-значение преобразованного пароля H(P) длиной 128 бит (используется функция хеширования MD4).

Алгоритм Windows NT

Полученное хеш-значение зашифровывается по алгоритму DES с помощью ключа, равного относительному номеру учетной записи пользователя, E_RID ( H ( P )).

Полученный результат шифрования записывается в базу данных учетных записей.

Хранение паролей в ОС Windows

Второе хеш-значение пароля пользователя вычисляется по алгоритму LAN Manager:

Все буквенные символы (латинского алфавита) строки пароля P преобразуются к верхнему регистру.

Строка символов пароля дополняется нулями, если она короче 14 байтов, и делится на две семибайтовые половины P₁ и P₂.

Каждое из значений P₁ и P₂ используется в качестве ключа для шифрования по алгоритму DES магической строки M=”KGS!@#$%”, в результате которого получаются два значения из 64 бит каждое – H₁=E_P₁(M) и H₂=E_P₂(M).

Алгоритм LAN Manager

Выполняется шифрование по алгоритму DES на ключе, равном относительному номеру учетной записи, результата сцепления H₁ и H₂ – E_RID(H₁ || H₂).

Полученный результат шифрования помещается в базу данных SAM.

Алгоритм LAN Manager является мене стойким (искусственно уменьшается мощность алфавита, из которого выбираются символы пароля, а разделение пароля на две половинки облегчает его подбор в том случае, если длина пароля не превышает семи знаков, так как результат шифрования магической строки на нулевом ключе заранее известен нарушителю).

Сложность паролей в ОС Windows

Требования к паролям при включении специального параметра безопасности:

длина не менее 6 символов;

включение символов хотя бы из трех подмножеств (строчные буквы, прописные буквы, цифры, специальные знаки);

Несовпадение с именем ученой записи или его частью.

Программа syskey

Обеспечит шифрование хеш-значений паролей с помощью первичного ключа длиной 128 бит, хранящегося в реестре также в зашифрованном виде.

После запуска программы syskey администратор должен выбрать способ хранения системного ключа длиной 128 бит, который будет использован для шифрования первичного ключа.

Способы хранения системного ключа

в системном реестре (преимущество этого варианта в отсутствии необходимости присутствия привилегированного пользователя при перезагрузке операционной системы, а недостаток – в наименьшей защищенности хранения системного ключа);

в файле startup.key (длиной 16 байт) в корневом каталоге специальной дискеты (в этом случае придется отдельно позаботиться о защищенном хранении этой дискеты и ее резервной копии);

без физического сохранения системного ключа, который будет генерироваться из специальной парольной фразы Альтернатива использованию программы syskey

Включение параметра безопасности «Сетевая безопасность: не хранить хеш- значений Lan Manager при следующей смене пароля».

База данных SAM

Содержит учетные записи пользователей и групп.

Права учетной записи в системе определяются ее уникальным идентификатором безопасности SID ( security identifier ).

Идентификатор безопасности представляет собой структуру переменной длины, которая однозначно определяет пользователя или группу.

Аутентификация пользователей на основе модели «рукопожатия»

Пользователь U и система S согласовывают при регистрации пользователя в КС функцию f , известную только им. Протокол аутентификации пользователя в этом случае выглядит так:

S : генерация случайного значения x (запроса); вычисление y = f ( x ); вывод x .

U : вычисление отклика y ’= f ’( x ); ввод y ’.

S : если y и y ’ совпадают, то пользователь авторизуется в системе, иначе попытка входа в систему отклоняется.

К функции f предъявляется требование, чтобы по известным x и f(x) нельзя было «угадать» f. Преимущества аутентификации на основе модели «рукопожатия» перед парольной аутентификацией:

между пользователем и системой не передается никакой конфиденциальной информации;

каждый следующий сеанс входа пользователя в систему отличен от предыдущего, поэтому даже длительное наблюдение за этими сеансами ничего не даст нарушителю.

К недостаткам аутентификации на основе модели «рукопожатия» относится большая длительность этой процедуры по сравнению с парольной аутентификацией.

Аутентификация пользователей на основе модели «рукопожатие».

Взаимная аутентификация

Парольная аутентификация совершенно неприменима в случае взаимного подтверждения подлинности пользователей компьютерной сети. Действительно, пусть А и Б обозначают двух пользователей сети, имеющих соответственно пароли P_А и P_Б. Тогда протокол взаимной аутентификации А и Б мог бы выглядеть так:

А->Б: А, запрос P_Б.

Б->А: Б, запрос P_А.

А->Б: А, P_А.

Б->А: Б, P_Б.

Но в момент отправки своего пароля (неважно, в открытой или защищенной форме) А не может быть уверении в подлинности Б, который может воспользоваться паролем А, чтобы выдать себя за А при взаимодействии с еще одним пользователем компьютерной сети В.

Модель «рукопожатия» вполне приемлема для взаимной аутентификации:

Взаимная аутентификация по модели «рукопожатия»

А : выбор значения x ; вычисление y = f ( x ).

А - >Б : А, x.

Б : вычисление y ’= f ( x ).

Б - >А : Б, y’.

А : если y и y ’ совпадают, то А может доверять Б .

Затем процедура аутентификации повторяется с переменой «ролей» (теперь Б начинает процесс и выбирает значение x ′ ), чтобы Б мог также быть уверен в подлинности А .

Аутентификация пользователей на основе модели «рукопожатия»

При локальном доступе пользователя к системе функция f может быть задана таблицей своих значений (ля возможности ее запоминания и вычисления отклика) или вычисляться с помощью специального устройства, имеющегося у пользователя.

Но в основном модель «рукопожатия» применяется при удаленной аутентификации.

Программно-аппаратная защита от локального НСД.

Программно-аппаратная защита от локального НСД

Порядок активизации программ после включения питания компьютера и до загрузки операционной системы:

программа самопроверки устройств компьютера POST ( Power On – Self Test );

программа BIOS Setup (может быть вызвана пользователем во время выполнения программы POST , обычно для этого необходимо нажать клавишу Delete ),

программы BIOS;

Порядок активизации программ

программы расширения BIOS (BIOS Extension), если соответствующая плата установлена на компьютере;

программа начальной загрузки, которая размещается в первом секторе нулевой головки нулевого цилиндра жесткого диска компьютера (Master Boot Record, MBR) и функции которой входит определение активного раздела жесткого диска и вызов программы загрузки операционной системы;

программа загрузки операционной системы, которая размещается в первом секторе активного раздела жесткого диска, загрузочного компакт-диска или загрузочной дискеты;

оболочка операционной системы.

Невозможность надежной аутентификации только программными средствами

Если программа начальной загрузки содержит вредоносный код, то и загруженная затем операционная система будет фактически функционировать под управлением программы нарушителя.

Если нарушитель получит доступ к коду процедуры хеширования пароля пользователя и его хеш-значению, он сможет подобрать пароль любого пользователя КС и осуществить несанкционированный доступ к информации.

Программно-аппаратная защита от локального НСД

Для гарантированной работы программно-аппаратного средства защиты от несанкционированной загрузки операционной системы достаточно, чтобы программа защиты и хеш-значения паролей пользователей были аппаратно защищены от чтения программными средствами во время сеанса работы пользователя (после загрузки ОС).

Модель (возможности) нарушителя

установка системы защиты производится в его отсутствие;

нарушитель не может вскрыть системный блок компьютера;

нарушитель не может перезаписать информацию в ПЗУ BIOS при работающем компьютере;

нарушитель не имеет пароля установки системы защиты;

нарушитель не имеет пароля пользователя КС;

нарушитель не имеет копии ключевой информации пользователя, хранящейся в элементе аппаратного обеспечения (например, в элементе Touch Memory).

Программно-аппаратная защита от локального НСД

Программные средства системы защиты должны быть записаны на плате расширения BIOS , для каждой из которых определен уникальный пароль установки. Установка системы защиты производится на компьютере, свободном от вредоносных программ типа закладок и вирусов. После установки платы расширения BIOS выполняется процедура установки системы защиты.

Установка системы защиты

После включения питания компьютера программа, записанная на плате расширения BIOS, выдает запрос на ввод пароля.

После ввода пароля установки P_S (как правило, администратором системы) происходит загрузка операционной системы и запуск собственно программы установки (проверочные функции системы защиты при этом отключаются).

По запросу программы установки вводятся пароль пользователя P, ключевая информация с элемента аппаратного обеспечения (например, серийный номер элемента Touch Memory) KI и имена подлежащих проверке системных и пользовательских файлов F₁, F₂, … , F_n.

Для каждого указанного файла F_i вычисляется и сохраняется проверочная информация в виде

E_k (H(P_S , P, KI, F_i )) ( E – функция шифрования, k – ключ шифрования, H – функция хеширования).

Проверочная информация сохраняется в скрытых областях жесткого диска.

Вход пользователя в КС

После включения питания компьютера программа на плате расширения BIOS запрашивает имя и пароль пользователя и просит установить элемент аппаратного обеспечения с его ключевой информацией.

Осуществляется проверка целостности выбранных при установке системы защиты файлов путем вычисления хеш-значения для них по приведенному выше правилу и сравнения с расшифрованными эталонными хеш-значениями;

В зависимости от результатов проверки выполняется либо загрузка операционной системы, либо запрос на повторны

Программно-аппаратная защита от локального НСД

После завершения работы пользователя элемент аппаратного обеспечения с его ключевой информацией изымается из компьютера. Доступ же к хеш-значению пароля фактически заблокирован, так как программное обеспечение для его вычисления и сравнения с эталоном «исчезает» из адресного пространства компьютера и не может быть прочитано никакими программными средствами без извлечения платы расширения BIOS .

Если у нарушителя нет пароля пользователя или копии элемента аппаратного обеспечения с его ключевой информацией, то он не сможет выполнить загрузку операционной системы.

Если у нарушителя есть пароль установки системы защиты, что позволит ему загрузить операционную систему без проверочных функций, или он получил доступ к терминалу с уже загруженной операционной системой, то он сможет осуществить несанкционированный доступ (НСД) к информации, но не сможет внедрить программные закладки для постоянного НСД.

Наличие пароля установки без знания пароля пользователя или его ключевой информации не позволит нарушителю переустановить систему защиты для постоянного НСД.

Аутентификация пользователей по их биометрическим характеристикам.

Биометрические характеристики

Физические характеристики человека (статические).
Поведенческие характеристики (динамические).

Максимальная уникальность (в т.ч. для близнецов), постоянство в течение длительного периода, отсутствие воздействия состояния человека или косметики.

Не требуется измерение одного и того же параметра для снижения риска воспроизведения.

Возможные статистические аутентификации:

Аутентификация по отпечаткам пальцев
Аутентификация по геометрической форме руки
Аутентификация по радужной оболочке глаза
Аутентификация по форме лица
Аутентификация по термограмме лица (схема расположения кровеносных сосудов лица). Используется специально разработанная инфракрасная камера.
Аутентификация по фрагментам генетического кода (ДНК) - в настоящее время эти средства применяются редко по причине их сложности и высокой стоимости.

Динамические биометрические характеристики

Голос.
Рукописная подпись.
Темп работы с клавиатурой (клавиатурный «почерк»).
Темп работы с мышью («роспись» мышью).

Зависят от физического и психического состояния человека (в определенных случаях может являться преимуществом).

Создание биометрического эталона

Требуется достаточное количество измерений (для исключения естественных расхождений в измерениях и получения достоверного эталона ) .

Возможно снятие нескольких подписей (например, отпечатков нескольких пальцев) для снижения риска ошибочного отказа.

Иногда может потребоваться обучение пользователя, если снимаемая характеристика подвержена большим вариациям.

Проверка биометрической подписи

В отличие от проверки паролей не требуется точное совпадение считанной биометрической подписи и эталона, сравниваются округленные значения.

Для хранения биометрического эталона не может применяться хеширование.

Оценка точности биометрической аутентификации

Две оценки: вероятность ошибочного отказа (ошибки 1-го рода, FRR) и вероятность ошибочного допуска (ошибки 2-го рода, FAR).

Необходимо достижения компромисса между уровнем безопасности и удобством использования.

Уменьшение порога допустимого отклонения от эталона снижает риск ошибочного допуска, но увеличивает риск ошибочного отказа.

Т.к. FRR и FAR зависят от порога, для объективной оценки точности биометрической системы используется коэффициент ERR.

Чем меньше ERR, тем выше обеспечиваемый уровень безопасности.

Достоинства и недостатки биометрической аутентификации

трудность фальсификации этих признаков;
высокая достоверность аутентификации из-за уникальности таких признаков;
неотделимость биометрических признаков от личности пользователя.

более высокая стоимость по сравнению с другими средствами аутентификации;
возможность отказа легальному пользователю;
возможность утечки персональных данных и нарушения тайны частной жизни.

Аутентификация при удаленном доступе.

Аутентификация при удаленном доступе

Аутентифицирующая информация передается по открытым каналам связи.
Угроза перехвата и воспроизведения нарушителем аутентифицирующей информации (паролей в открытом или хешированном виде, биометрических данных) для «маскарада».
Угроза подмены ответа выделенного сервера аутентификации.

Прямая аутентификация

Существует одна точка обслуживания (сервер) или каждая точка обслуживания самостоятельно аутентифицирует своих пользователей (имеет свою базу учетных записей).

Протокол CHAP

Challenge Handshake Authentication Protocol

Идеей протокола CHAP является передача клиентом пароля в хешированном виде с использованием полученного от сервера случайного числа.

Сервер аутентификации AS: генерация случайного числа N.

AS->Клиент C: идентификатор сервера ID_S, N и его длина в байтах (вызов).

Пользователь U->C: пароль P.

C: вычисление хеш-значения R=H(ID_S, N, P).

C->AS: ID_U, R (отклик).

AS: извлечение из регистрационной базы данных соответствующего ID_U значения P, вычисление хеш-значения H(ID_S, N, P) и сравнение его с R.

AS->C: если хеш-значения совпадают, то авторизация U, иначе отказ в доступе и разрыв соединения.

Протокол S/Key

Идея протокола S / Key основывается на модели одноразовых паролей, получаемых последовательным применением необратимой (односторонней) функции (например, функции хеширования).

Протокол S / Key состоит из двух частей – генерации списка одноразовых паролей (парольной инициализации) и собственно аутентификации.

Процедура парольной инициализации

Сервер аутентификации AS вычисляет предварительный одноразовый пароль Y_M₊₁=H⁽^M⁺¹⁾(N,P)=H(H(…(H(N,P))…)) (M+1 раз выполняется хеширование) и сохраняет N (случайное число), M (количество неиспользованных одноразовых паролей), Y_M₊₁ вместе с ID и P (именем и секретным паролем пользователя) в регистрационной базе данных.

N используется для исключения передачи по сети секретного пароля пользователя P для генерации нового списка одноразовых паролей.

Непрямая аутентификация

Решение проблемы масштабируемости КС.
Механизм аутентификации реализован на отдельном сервере, а все другие серверы связываются с сервером аутентификации.

Используются более сложные протоколы (RADIUS, Kerberos), выполнение которых начинается после попытки входа на какой-либо сервер пользователя с удаленной клиентской РС.

Дополнительная угроза – подделка ответов сервера аутентификации или сервера обслуживания.

Для повышения отказоустойчивости поддерживается автоматическая репликация базы учетных записей для распределения нагрузки между несколькими серверами аутентификации (могут появляться проблемы при объединении КС разных организаций).

Протокол RADIUS

Remote Authentication Dial In User Service.

Сервер доступа (NAS, Network Access Server) выступает в качестве агента RADIUS. Агент отвечает за передачу сведений о пользователе заданным серверам RADIUS и дальнейшие действия в зависимости от возвращенной сервером информации.

Серверы RADIUS отвечают за прием запросов агента, идентификацию и аутентификацию пользователей и возврат агенту всех конфигурационных параметров, требуемых для предоставления пользователю соответствующих услуг.

Аутентификация транзакций между агентом и сервером RADIUS осуществляется с использованием разделяемого ключа K_R (ключа RADIUS), который никогда не передается через сеть. В дополнение к этому пользовательские пароли между агентами и серверами RADIUS передаются в зашифрованном виде во избежание перехвата паролей при их передаче через незащищенные сети.

Недостаток – при любом обращении пользователя к серверу удаленного доступа (агенту RADIUS) требуется проведение аутентификации пользователя с помощью сервера RADIUS, что увеличивает сетевой трафик и усложняет масштабирование компьютерной сети.

Управление сетевыми ресурсами внутри одной организации (протокол Kerberos)т ой – KDC и клиен

Получение мандата

Пользователь вводит свой пароль только для расшифровки начального билета, после чего он уже не должен находиться на его рабочей станции. Для защиты от повтора в мандатах используются метки времени, имена пользователей (серверов) и сетевые адреса компьютеров.

Виртуальные частные сети и способы их построения.

Виртуальные частные сети

Типовые угрозы безопасности открытых сетей передачи данных (типа Интернета):
Анализ сетевого трафика.
Подмена субъекта или объекта соединения.
Внедрение ложного объекта (угроза «человек посередине»).
Отказ в обслуживании.

Технология предназначена для защиты от перечисленных выше угроз и включает в себя следующие этапы:

Согласование параметров защищенной связи (криптографических алгоритмов и ключей).
Шифрование исходного IP- пакета.
Инкапсуляция его в блок данных нового IP- пакета.
Добавление заголовка к новому IP- пакету.

Способы построения VPN

Программные.
Программно-аппаратные.

На канальном уровне модели OSI (протоколы L2TP, PPTP, L2F) – обеспечивается независимость от протоколов сетевого уровня, но сложность конфигурирования при соединении двух ЛВС.

На сетевом уровне (IPSec, SKIP) – хорошая масштабируемость.

На сеансовом уровне (SSL, TLS, SOCKS) – независимое управление передачей данных в обоих направлениях, возможность сочетания с VPN других типов.

Протокол IPSec

Протокол аутентифицирующего заголовка (AH) предназначен для защиты от атак, связанных с несанкционированным изменением содержимого пакета, в том числе от подмены адреса отправителя сетевого уровня.

Протокол инкапсуляции зашифрованных данных (ESP) предназначен для обеспечения конфиденциальности данных. Необязательная опция аутентификации в этом протоколе может обеспечить контроль целостности зашифрованных данных.

Режимы протокола IPSec

Транспортный режим используется для шифрования поля данных IP пакета, содержащего протоколы транспортного уровня (TCP, UDP, ICMP), которое, в свою очередь, содержит информацию прикладных служб.

Туннельный режим предполагает шифрование всего пакета, включая заголовок сетевого уровня. Туннельный режим применяется в случае необходимости скрытия информационного обмена организации с внешним миром. При этом, адресные поля заголовка сетевого уровня пакета, использующего туннельный режим, заполняются межсетевым экраном организации и не содержат информации о конкретном отправителе пакета.

Модель (возможности) нарушителя

знает топологию всей сети;
знает IP-адреса хостов защищаемых подсетей (ЛВС организации);
имеет образцы программного и аппаратного обеспечения установленных в подсетях рабочих станций и серверов;
владеет сведениями о внедренных в стандартное программное обеспечение рабочих станций и серверов закладках, случайно или намеренно оставленной отладочной информации, ключах шифрования и т.п.;
не знает сеансовых и базовых ключей шифрования, используемых специализированными криптомаршрутизаторами;
не имеет возможности осуществить локальный несанкционированный доступ к информации.

Характеристики криптомаршрутизатора

физическое разделение внешних (с сетью Интернет) и внутренних (с хостами обслуживаемой подсети) интерфейсов (например, с помощью двух разных сетевых карт);
возможность шифрования всех исходящих (в другие ЛВС организации) и расшифрования всех входящих (из этих ЛВС) пакетов данных.

Алгоритм работы криптомаршрутизатора CR₁

По таблице маршрутов ищется адрес криптомаршрутизатора, который обслуживает подсеть, содержащую получателя пакета (AD(CR₂)).

Определяется интерфейс, через который доступна подсеть, содержащая CR₂.

Шифруется весь пакет от A (вместе с его заголовком) на сеансовом ключе связи CR₁ и CR₂, извлеченном из таблицы маршрутов.

К полученным данным добавляется заголовок, содержащий AD(CR₁) в качестве адреса отправителя и AD(CR₂) в качестве адреса получателя нового пакета.

Сформированный пакет отправляется через сеть Интернет.

Алгоритм работы криптомаршрутизатора CR₂

Из таблицы маршрутов извлекается сеансовый ключ связи CR₁ и CR_2.

Выполняется расшифрование данных полученного пакета.

Если после расшифрования структура «вложенного» пакета некорректна или адрес его получателя не соответствует обслуживаемой CR₂ подсети (не совпадает с AD(X)), то полученный пакет уничтожается;

Расшифрованный пакет, содержащий AD(A) в поле отправителя и AD(X) в поле получателя, передается X через внутренний интерфейс ЛВС.

Объединение нескольких ЛВС

При работе с большим количеством защищаемых подсетей необходимо выделение специального криптомаршрутизатора с функциями центра распределения ключей шифрования для связи между парами криптомаршрутизаторов, которые в этом случае могут работать в двух режимах (загрузки конфигурации и основном) и имеют на защищенном носителе один маршрут и один ключ шифрования для связи с центром распределения ключей.

После успешной установки соединения центра распределения ключей с одним из криптомаршрутизаторов ему высылается его таблица маршрутов, зашифрованная общим с центром ключом. После получения и расшифрования таблицы маршрутов криптомаршрутизатор переходит в основной режим работы.

Межсетевые экраны.

Реализуют набор правил, которые определяют условия прохождения пакетов данных из одной части распределенной компьютерной системы (открытой) в другую (защищенную). Обычно межсетевые экраны (МСЭ) устанавливаются между сетью Интернет и локальной вычислительной сетью организации, но могут устанавливаться и на каждый хост локальной сети (персональные МСЭ).

В зависимости от уровня взаимодействия объектов сети основными разновидностями МСЭ являются:

фильтрующие (экранирующие) маршрутизаторы,
шлюзы сеансового уровня (экранирующие транспорты),
шлюзы прикладного уровня,
МСЭ экспертного уровня, работающие на разных уровнях модели OSI .

Фильтрующие маршрутизаторы

При фильтрации используется информация из заголовков IP- пакетов:

IP- адрес отправителя пакета;
IP- адрес получателя пакета;
порт отравителя пакета;
порт получателя пакета;
тип протокола;
флаг фрагментации пакета.

Достоинства:

простота их создания, установки и конфигурирования,
прозрачность для приложений пользователей КС и минимальное влияние на их производительность,
невысокая стоимость.

Недостатки :

отсутствие аутентификации на уровне пользователей КС;
уязвимость для подмены IP-адреса в заголовке пакета;
незащищенность от угроз нарушения конфиденциальности и целостности передаваемой информации;
сильная зависимость эффективности набора правил фильтрации от уровня знаний администратора МСЭ конкретных протоколов;
открытость IP-адресов компьютеров защищенной части сети.

Шлюзы сеансового уровня

Основные функции:

контроль виртуального соединения между рабочей станцией защищенной части сети и хостом ее незащищенной части;
трансляция IP -адресов компьютеров защищенной части сети (технология Network Address Translation, NAT) .

Устанавливает соединение с внешним хостом от имени авторизованного клиента из защищенной части сети, создает виртуальный канал по протоколу TCP, после чего копирует пакеты данных в обоих направлениях без их фильтрации. Когда сеанс связи завершается, МСЭ разрывает установленное соединение с внешним хостом.

К достоинствам относятся также их простота и надежность программной реализации.

К недостаткам – отсутствие возможности проверять содержимое передаваемой информации, что позволяет нарушителю пытаться передать пакеты с вредоносным программным кодом через подобный МСЭ и обратиться затем напрямую к одному из серверов (например, Web-серверу) атакуемой КС.

Шлюзы прикладного уровня

Не только исключают прямое взаимодействие между авторизованным клиентом из защищенной части сети и хостом из ее открытой части, но и фильтрует все входящие и исходящие пакеты данных на прикладном уровне (т.е. на основе анализа содержания передаваемых данных).

К основным функциям относятся:

идентификация и аутентификация пользователя КС при попытке установить соединение;
проверка целостности передаваемых данных;
разграничение доступа к ресурсам защищенной и открытой частей распределенной КС;
фильтрация и преобразование передаваемых сообщений (обнаружение вредоносного программного кода, шифрование и расшифрование и т.п.);
регистрация событий в специальном журнале;
кэширование запрашиваемых извне данных, размещенных на компьютерах внутренней сети (для повышения производительности КС).

Достоинства:

наиболее высокая степень защиты КС от удаленных атак,
скрытость структуры защищенной части сети для остальных хостов,
надежная аутентификация и регистрация проходящих сообщений,
возможность реализации дополнительных проверок.

Недостатки:

более высокая стоимость,
сложность разработки, установки и конфигурирования,
снижение производительности КС,
«непрозрачность» для приложений пользователей КС.

Общие недостатки МСЭ

В принципе не могут предотвратить многих видов атак (например, угрозы несанкционированного доступа к информации с использованием ложного сервера службы доменных имен сети Интернет, угрозы анализа сетевого трафика, угрозы отказа в обслуживании)

Средства анализа защищенности, обнаружения атак и контроля содержания.

Сканеры уязвимости

Основные функции:

проверка используемых в системе средств идентификации и аутентификации, разграничения доступа, аудита и правильности их настроек с точки зрения безопасности информации в КС;
контроль целостности системного и прикладного программного обеспечения КС;
проверка наличия известных, но неустраненных уязвимостей в системных и прикладных программах, используемых в КС и др.

Работают на основе сценариев проверки, хранящихся в специальных базах данных, и выдают результаты своей работы в виде отчетов, которые могут быть конвертированы в различные форматы (электронных таблиц Microsoft Excel, баз данных Microsoft Access и т.п.)..

Классификация сканеров уязвимости

Уровня хоста (анализируют защищенность конкретного компьютера «изнутри»).
Уровня сети (анализируют защищенность компьютерной системы «извне»).

Недостатки:

зависимость от конкретных систем;
недостаточная надежность (их применение может иногда вызывать сбои в работе анализируемых систем);
малый срок эффективной эксплуатации (не учитываются новые обнаруженные уязвимости, которые и являются наиболее опасными);
возможность использования нарушителями в целях подготовки к атаке на КС.

Системы обнаружения атак

Уровня хоста (обнаружение признаков атак на основе анализа журналов безопасности операционной системы, журналов МСЭ и других системных и сетевых служб).
Уровня сети (инспекция пакетов данных непосредственно в каналах связи), которые могут размещаться последовательно или параллельно с межсетевым экраном, маршрутизатором, коммутатором или концентратором.

Как работают:

Используют базы данных с зафиксированными сетевыми событиями и шаблонами известных атак.
Работают в реальном масштабе времени и реагируют на попытки использования известных уязвимостей КС или несанкционированного исследования защищенной части сети организации.
Ведут журнал регистрации зафиксированных событий для последующего анализа.

Недостатки:

неспособность эффективно функционировать в высокоскоростных сетях;
возможность пропуска неизвестных атак;
необходимость постоянного обновления базы данных с шаблонами атак;
сложность определения реакции этих средств на обнаруженные попытки атаки.

Системы контроля содержания

Предотвращаемые угрозы:

Увеличение расходов на оплату личных Интернет-услуг сотрудников организации.
Снижение производительности труда сотрудников.
Снижение пропускной способности сети организации для деловых нужд.
Утечки конфиденциальной информации.
Репутационный ущерб для организации.

Основные функции:

Анализ входящего и исходящего трафика.
Контроль утечки конфиденциальной информации.
Поддержка и анализ различных форматов представления данных.
Возможность построения гибкой политики безопасности на уровне отдельных пользователей и групп.
Сбор статистики (при необходимости руководство может получить практически любую информацию: кто и когда посещал какие сайты и Web-страницы, отсылал почту через Web-интерфейс, какие файлы какого объема закачивал и пр.).

Защита от несанкционированной загрузки ОС.

Защита от загрузки ОС неуполномоченным лицом.
Защита от загрузки другой ОС со съемного носителя.
Защита от загрузки ОС в нештатном режиме.

Защита от загрузки ОС неуполномоченным лицом

На основе пароля, устанавливаемого программой BIOS Setup с помощью функции Set User Password (или аналогичной ей) при выбранном для параметра Security Option (или аналогичного ему) значении System в окне настроек функции Advanced BIOS Features (или аналогичной ей).

Максимальная длина пароля, устанавливаемого программой BIOS Setup , равна 8 символам.

При использовании этой возможности перед загрузкой операционной системы или при попытке вызвать программу BIOS Setup пользователю будет предложено ввести пароль.

Достоинства:

простота установки,
надежность защиты (число попыток ввода пароля перед загрузкой операционной системы ограничено тремя, что делает практически невозможным подбор пароля).

Недостатки:

один пароль для всех пользователей, работающих на этом компьютере;
сложность замены пароля, если он забыт пользователем;
поскольку хеш-значение пароля сохраняется в CMOS-памяти компьютера, нарушитель может прочитать его с помощью специальной программы после получения доступа к компьютеру после загрузки операционной системы;
существование так называемых «технических» паролей программы BIOS Setup.

Защита от загрузки другой ОС со съемного носителя

Отмена такой возможности с помощью программы BIOS Setup:

Функция Advanced BIOS Features (или аналогичная в программах других производителей) позволяет установить порядок применения устройств при загрузке операционной системы.

Для обеспечения наибольшей безопасности загрузка должна всегда начинаться (First Boot Device) с жесткого диска (HDD-0), а при невозможности загрузки с жесткого диска продолжаться (Second Boot Device) с дискеты (Floppy) или компакт-диска (CDROM).

Доступ к изменению настроек, устанавливаемых программой BIOS Setup , должен быть разрешен только администратору КС:

С помощью функции Set Supervisor Password этой программы (или аналогичной) необходимо установить пароль администратора.

1 / 91 2 3 4 5 6 7 8 9 > Следующая >>>